无需升级项目版本解决dotnet core2.x无TLS1.3引发SSL连接错误的方案选择

你倾向选择方案1的判断完全正确，生产环境下绝对优先选方案1，禁止使用方案2

为什么不要选方案2 #

• 方案2本质是完全关闭TLS证书校验逻辑，直接放弃了TLS协议的核心安全能力，通信过程完全暴露在中间人攻击风险下，所有传输的敏感数据都存在被窃取、篡改的可能，除了完全隔离的内网测试场景外，生产环境绝对不能使用该方案。

方案1的合理性 #

• 改造极小：仅修改Dockerfile基础镜像，不需要修改任何业务代码，.NET 3.1运行时天然向下兼容.NET Core 2.1/2.2的应用，你已经完成测试验证的前提下，上线风险几乎为0。
• 安全性达标：3.1运行时原生支持TLS 1.3，同时修复了2.x版本网络栈的多个已知安全漏洞，完全满足HTTPS调用的安全要求，没有额外安全隐患。
• 额外收益：3.1运行时对比2.2版本在HTTP请求处理、内存占用上都有明显优化，无需额外改造就能获得性能提升。

可选的更优长期方案 #

如果后续有迭代窗口，可以考虑逐步将项目的目标框架升级到.NET 6或者.NET 8这类仍在支持周期内的长期支持（LTS）版本，毕竟.NET 3.1已经结束官方支持，长期来看使用仍在安全更新周期内的版本，能更好的规避未知安全风险。

内容的提问来源于stack exchange，提问作者SilentTremor